Преобразование трассировки PCAP в формат NetFlow

Я хотел бы преобразовать некоторые трассировки PCAP в формат Netflow для дальнейшего анализа с помощью инструментов netflow. Есть ли способ сделать это?

В частности, я хочу использовать инструмент «flow-export», чтобы извлечь некоторые интересующие поля из трассировки сетевого потока следующим образом:

$ flow-export -f2 -mUNIX_SECS,SYSUPTIME,DPKTS,DOCTETS < mynetflow.trace

В этом случае файл mynetflow.trace берется путем преобразования файла PCAP с помощью следующих команд:

$ nfcapd -p 12345 -l ./ 

$ softflowd -n localhost:12345 -r mytrace.pcap

Это создает трассировку сетевого потока, но она не может быть правильно использована функцией экспорта потока, поскольку она имеет неправильный формат. Я также попытался передать вывод следующей команды в потоковый экспорт следующим образом:

$ flow-import -V1 -z0 -f0 <mynetflow.trace | flow-export -f2 -mUNIX_SECS,SYSUPTIME,DPKTS,DOCTETS

но вывод первой команды сгенерировал нулевые временные метки.

Любые идеи?


linux network-programming traffic pcap netflow
person Regressor    schedule 23.09.2011    source источник

Ответы (2)


arrow_upward
4
arrow_downward

Я просмотрел документацию по потоковому экспорту и обнаружил несколько признанных ошибок в реализации pcap. Не уверен, что они еще исправлены.

В зависимости от содержимого вашего захвата у вас есть несколько других вариантов: Если вы захватили прямой трафик по ссылке и хотите преобразовать его в формат NetFlow, вы можете скачать бесплатный инструмент экспорта netflow, который читает PCAP, здесь:

Бесплатный экспортер FlowTraq

или здесь:

NProbe

Если вы захватили трафик NetFlow в пути (скажем, UDP/2055), вы можете воспроизвести его с помощью такого инструмента, как «tcpreplay», доступного в любом дистрибутиве Linux.

person Vince Berk    schedule 10.08.2012

arrow_upward
0
arrow_downward

Если вы используете среду Linux, вы можете использовать пакет argus Linux. Просто установите argus с помощью apt или менеджера пакетов вашего дистрибутива, а затем вы сможете использовать его с клиентом Argus ra для получения формата binetflow.

Вот команда:

argus -F /mnt/argus.conf -r " +f+" -w - | ra -F /mnt/ra.conf -Z b -n >"+f.split(".")[0]+".binetflow
person Vishnuteja Kandalam    schedule 12.03.2020